PT-2021-16326 · WordPress · Improved Include Page

Francesco Carlucci · Publicado 2021-12-13 · Atualizado 2022-07-29 · CVE-2021-24845

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Plugin Improved Include Page para WordPress, versões 1.2 e anteriores

Descrição:

A vulnerabilidade permite que usuários com uma função tão baixa quanto “Colaborador” obtenham acesso a conteúdo ao qual não deveriam ter acesso, passando atributos de shortcode com post type e post status. Isso pode ser usado para recuperar conteúdo arbitrário.

Recomendações:

Para as versões 1.2 e anteriores do plugin Improved Include Page do WordPress, considere desativar a funcionalidade de shortcode até que uma correção esteja disponível para impedir que usuários acessem conteúdo não autorizado. Restrinja o acesso aos atributos post type e post status para minimizar o risco de exploração.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2021-24845

Produtos afetados

Improved Include Page

Referências · 4

• 🔥 https://wpscan.com/vulnerability/ab857454-7c7c-454d-9c7f-1db767961e5f · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-24845 · Nota de Segurança
• https://t.me/cibsecurity/33812 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-24845 · Aviso do Fabricante